Какие данные на фриланс-бирже подпадают под 152-ФЗ
Персональные данные — любая информация, относящаяся к конкретному человеку. На фриланс-бирже это профили исполнителей и заказчиков, контакты для связи, паспортные данные и ИНН для вывода средств, история заказов, переписка, фото и портфолио.
Закон обязывает оператора получить согласие на обработку, опубликовать политику обработки ПДн с реквизитами оператора и целями, обеспечить права субъекта на доступ, изменение и удаление данных. Если биржа собирает паспортные данные или передаёт данные третьим лицам, требования ужесточаются.
На практике владельцы бирж не всегда знают, какие данные собирает сайт: аналитика, трекеры, авторизация через соцсети и платёжные системы могут передавать данные посетителей на иностранные серверы без явного согласия. Это создаёт риск по локализации данных и трансграничной передаче.
Что проверяет Роскомнадзор на фриланс-бирже
Регулятор проверяет, как сайт собирает данные на публичных страницах: опубликована ли политика обработки ПДн, оформлены ли согласия в веб-формах, какие трекеры стартуют до согласия посетителя, куда уходят сетевые запросы.
Проверка начинается с чистой сессии — так, как заходит новый посетитель. Фиксируются снимки экрана, дословные цитаты из документов, cookie и сетевой обмен браузера. Если аналитика запускается до согласия, если политика отсутствует или не содержит обязательных реквизитов, если данные уходят на иностранные серверы — это может квалифицироваться как нарушение.
Роскомнадзор не заходит в закрытые разделы сайта, не отправляет формы и не вводит данные. Проверяется только то, что видит любой посетитель на публичных страницах. Но именно на этих страницах чаще всего возникают риски: cookie-баннеры без равнозначного отказа, трекеры, стартующие автоматически, отсутствие политики.
Как проверить фриланс-биржу на соответствие 152-ФЗ
Проверка открывает сайт с чистой сессии — до любого клика и согласия — и фиксирует, что происходит на самом деле. Какие трекеры стартуют автоматически, какие cookie устанавливаются, куда отправляются сетевые запросы, опубликована ли политика обработки ПДн, оформлены ли согласия в веб-формах.
Результат — заключение в PDF. В нём указаны эпизоды с признаками нарушений, их серьёзность и очерёдность исправлений. Каждый факт связан с нормой закона, снабжён снимком экрана и временем фиксации. Если на осмотренных страницах признаков нарушений не найдено, отчёт это подтверждает.
Проверяются только публичные страницы: без входа в аккаунт, без отправки форм и ввода данных. Сетевой обмен браузера фиксируется как технический сигнал для дополнительной проверки, а не как доказательство. Заключение показывает, где возникают правовые риски, и даёт рекомендации, что исправить.
Типичные риски на фриланс-биржах: трекеры, авторизация, формы
Аналитика и реклама часто стартуют раньше согласия посетителя. Если cookie-баннер показывается, но трекеры уже отправили данные на серверы, это может создать риск по обработке без законных оснований.
Авторизация через Google, иностранные соцсети, ВКонтакте передаёт данные посетителя на серверы социальной сети. Если эти серверы находятся за рубежом, возникает вопрос трансграничной передачи и локализации данных граждан России. Проверка фиксирует, какие иностранные домены получают запросы, и указывает это в отчёте.
Веб-формы для регистрации фрилансеров и заказчиков, для вывода средств собирают паспортные данные, ИНН, адреса. Если в форме нет ссылки на политику обработки ПДн, если согласие не содержит цели обработки и прав субъекта, это может квалифицироваться как нарушение требований к согласию.
Что делать, если выявлены риски на фриланс-бирже
Отчёт указывает серьёзность каждого эпизода и даёт очерёдность исправлений. К каждому эпизоду приведена рекомендация: что исправить в коде, настройках аналитики, текстах документов.
Если биржа использует иностранные сервисы, решение зависит от того, какие данные передаются и для каких целей. Можно настроить прокси-сервер на территории России, заменить сервис на отечественный аналог, получить согласие на трансграничную передачу. Выбор зависит от бизнес-задачи и готовности вносить изменения.
После исправления можно заказать повторную проверку, чтобы убедиться, что риски устранены. Заключение не заменяет консультацию юриста и не является обращением в Роскомнадзор, но показывает, что увидит регулятор при проверке.
Чек-лист: проверьте фриланс-биржу на соответствие 152-ФЗ
- 01Политика обработки ПДн опубликована на сайте. Откройте главную страницу биржи, найдите ссылку на политику обработки персональных данных в подвале сайта. Проверьте, указаны ли в политике реквизиты оператора (ИНН, ОГРН, адрес), цели обработки, права субъекта.
- 02Трекеры не стартуют до согласия посетителя. Откройте сайт в режиме инкогнито, откройте инструменты разработчика браузера (F12), вкладка Network. До клика на баннере cookie не должно быть запросов к аналитическим доменам (google-analytics.com, mc.yandex.ru, домены зарубежных рекламных пикселей).
- 03Cookie-баннер позволяет отказаться от всех необязательных cookie. Проверьте, есть ли кнопка «Отклонить все» или «Только необходимые» на баннере. Кнопка должна быть равнозначна кнопке «Принять все» по размеру и расположению, без затемнения и мелкого шрифта.
- 04Авторизация через соцсети не передаёт данные без согласия. Если на сайте есть кнопки «Войти через Google» или входа через иностранные соцсети, откройте вкладку Network в инструментах разработчика. До клика на кнопку не должно быть запросов к домену accounts.google.com и доменам иностранных соцсетей.
- 05Веб-формы содержат ссылку на политику и оформленное согласие. Найдите форму регистрации исполнителя или заказчика. Проверьте, есть ли чекбокс согласия на обработку ПДн, содержит ли текст согласия цель обработки, права субъекта, ссылку на политику.
- 06Данные граждан России не уходят на иностранные серверы без уведомления Роскомнадзора. Откройте вкладку Network в инструментах разработчика, обновите страницу. Проверьте, есть ли запросы к иностранным доменам (например, amazonaws.com, cloudflare.com, googleusercontent.com). Если есть, убедитесь, что в политике указана трансграничная передача.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Какие данные на фриланс-бирже считаются персональными?
ФИО, email, телефон, паспортные данные, ИНН, адрес, фото, портфолио, история заказов, переписка — любая информация, относящаяся к конкретному человеку.
Нужно ли уведомлять Роскомнадзор, если биржа обрабатывает персональные данные?
Вопрос об обязанности уведомления зависит от конкретных обстоятельств обработки. Если в отчёте выявлены признаки нарушения обязанности уведомления, это будет указано со ссылкой на норму. Окончательное решение о необходимости уведомления требует консультации юриста.
Можно ли использовать авторизацию через Google и иностранные соцсети на фриланс-бирже?
Можно, но это может создать риск трансграничной передачи данных. Проверка покажет, какие иностранные домены получают запросы, и укажет это в отчёте. Решение о том, как действовать дальше, зависит от бизнес-задачи и консультации с юристом.
Как проверить, стартуют ли трекеры на фриланс-бирже до согласия посетителя?
Откройте сайт в режиме инкогнито, откройте инструменты разработчика браузера (F12), вкладка Network. До клика на баннере не должно быть запросов к аналитическим доменам.
Что будет, если на фриланс-бирже не опубликована политика обработки ПДн?
Отсутствие политики обработки персональных данных может квалифицироваться как нарушение требований закона. Важно опубликовать политику с обязательными реквизитами оператора, целями обработки и правами субъекта.
Проверяются ли закрытые разделы фриланс-биржи, доступные только после авторизации?
Нет, проверяются только публичные страницы. Проверка не заходит в аккаунт, не отправляет формы и не вводит данные. Она показывает, что увидит любой новый посетитель и что зафиксирует регулятор на публичных страницах.
Можно ли использовать заключение как доказательство соответствия 152-ФЗ?
Заключение не заменяет консультацию юриста и не является обращением в Роскомнадзор. Оно показывает, где на публичных страницах возникают правовые риски, и даёт рекомендации, что исправить.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.